Cybersecurity-incident bij Albert Heijn: wat klanten moeten weten over bestellen, Bonus en gegevens

Stand van zaken op 13 oktober 2026. Wie boodschappen wil bestellen of zijn persoonlijke Bonusvoordeel wil gebruiken, loopt na het cybersecurity-incident bij Albert Heijn tegen een praktisch probleem aan: sommige digitale diensten werken niet. Albert Heijn heeft bevestigd dat het bedrijf samen met Etos en Gall & Gall sinds zondagmiddag 11 oktober met een beveiligingsincident kampt. Systemen zijn uit voorzorg uitgeschakeld. De supermarkt meldt dat zijn winkels openblijven, maar dat websites, apps, klantenservice en de bezorging van online boodschappen geraakt zijn. Of persoonsgegevens van klanten zijn buitgemaakt, is op basis van de geraadpleegde officiële mededelingen niet vastgesteld.

Voor klanten is dat onderscheid belangrijk. Een cyberincident kan digitale diensten verstoren zonder dat daarmee automatisch vaststaat dat gegevens zijn gestolen. Hieronder staat wat het bedrijf wél bevestigt, welke risico’s nog onduidelijk zijn en wat je vandaag kunt doen zonder te reageren op onbewezen berichten.

Wat is er precies gebeurd bij Albert Heijn?

Volgens de officiële verklaring van Albert Heijn hebben Albert Heijn, Etos en Gall & Gall sinds zondagmiddag 11 oktober 2026 te maken met een IT-incident. In de publicatie van Albert Heijn, bijgewerkt op 12 oktober om 07.00 uur, zegt de onderneming onmiddellijk beschermingsmaatregelen te hebben genomen. Daarbij zijn verschillende systemen preventief tijdelijk uitgeschakeld. Gall & Gall spreekt in een eigen verklaring, bijgewerkt op 12 oktober om 11.30 uur, expliciet van een cybersecurity-incident; zie de verklaring van Gall & Gall.

Deze formuleringen bevestigen een serieus beveiligingsprobleem, maar vertellen nog niet wat de technische oorzaak is. Het is daarom niet verantwoord om een specifieke aanvalsmethode, ransomwaregroep, dader of omvang van een mogelijke gegevensdiefstal als feit te noemen. Ook een datum voor volledig herstel is door de bedrijven niet opgegeven.

Kan ik nog gewoon boodschappen doen?

Ja, in de fysieke winkels. Albert Heijn zegt dat de vestigingen openblijven en dat de kassasystemen functioneren. Ook de landelijke Bonusaanbiedingen uit de folder van de betreffende week worden aan de kassa verwerkt. Dat betekent niet dat ieder prijskaartje in het schap bijgewerkt is: op elektronische schaplabels kunnen nog actieprijzen van de vorige week staan. Het is mogelijk dat de prijs op het label lager is dan wat de kassa berekent.

Kijk bij het afrekenen naar de actuele kassaprijs en bewaar de bon als een bedrag niet overeenkomt met wat je verwachtte. De verklaring is geen algemene toezegging dat ieder prijsverschil automatisch wordt terugbetaald; vraag bij twijfel in de winkel hoe een concrete prijsafwijking wordt behandeld.

Wat gebeurt er met online bestellingen en bezorgingen?

Albert Heijn meldt dat websites en apps tijdelijk niet beschikbaar zijn en dat logistieke systemen eveneens uitgeschakeld zijn. Daardoor kunnen online bestelde boodschappen volgens de mededeling tot nader bericht niet worden bezorgd. Wie al een bestelling had ingepland, moet er dus rekening mee houden dat de oorspronkelijke bezorgafspraak niet wordt gehaald.

Het bedrijf heeft geen algemeen herstelmoment of uniforme compensatieregeling voor gemiste bezorgingen bekendgemaakt in de geraadpleegde verklaring. Bewaar daarom je bestelbevestiging en eventuele betalingsbewijzen. Controleer de status rechtstreeks via de officiële kanalen wanneer die weer bereikbaar zijn. Maak niet op basis van berichten van onbekende afzenders een nieuwe betaling over om een zogenaamd vastgelopen bestelling vrij te geven.

Werken de Bonuskaart, Koopzegels en persoonlijke kortingen?

Niet alle functies. Volgens Albert Heijn zijn persoonlijke spaar- en voordeelprogramma’s die aan de Mijn AH-app en persoonlijke Bonuskaart gekoppeld zijn tijdelijk niet beschikbaar. Het gaat onder meer om Mijn Bonus Box, het sparen en verzilveren van Koopzegels, Air Miles en andere spaaracties. De landelijke Bonusaanbiedingen in de actuele folder blijven volgens de onderneming wel geldig aan de kassa.

Albert Heijn zegt dat klanten die hierdoor persoonlijke kortingen mislopen, gecompenseerd worden zodra dit mogelijk is. Het concrete moment en de precieze uitvoering zijn nog niet uitgewerkt in de aangehaalde verklaring. Bewaar dus je kassabon, ook bij kleine aankopen. Noteer eventueel welke persoonlijke korting je had verwacht, zonder ervan uit te gaan dat de uitkomst al is bevestigd.

Zijn klantgegevens of betaalgegevens gelekt?

Dat is op basis van de beschikbare officiële mededelingen niet bevestigd. De bedrijven zeggen dat het beschermen van gegevens van klanten, medewerkers en partners prioriteit heeft en dat onderzoek loopt. Ze geven in de geraadpleegde publicaties geen bevestigde lijst van getroffen gegevenscategorieën, aantal betrokken personen of vastgestelde ongeoorloofde toegang tot klantbestanden.

Het begrip datalek heeft een specifieke betekenis. De uitleg van de Autoriteit Persoonsgegevens over datalekken legt uit dat een beveiligingsinbreuk onder meer kan leiden tot ongeoorloofde toegang tot persoonsgegevens, maar ook tot verlies, vernietiging of wijziging van zulke gegevens. Een storing door het uitschakelen van systemen is op zichzelf geen bewijs dat bijvoorbeeld wachtwoorden, adresgegevens of bankrekeningnummers zijn buitgemaakt.

Dat betekent niet dat klanten het risico categorisch kunnen uitsluiten. Het onderzoek kan later nieuwe feiten opleveren. Controleer bij nieuwe berichten daarom of die afkomstig zijn van het bedrijf zelf of van de bevoegde privacytoezichthouder, en let op de datum van de mededeling.

Moet ik nu mijn Albert Heijn-wachtwoord veranderen?

Er is geen officiële aanwijzing in de genoemde verklaringen dat wachtwoorden van klanten zijn buitgemaakt. Een verplichte algemene wachtwoordreset kan daarom niet als bekendgemaakte maatregel worden gepresenteerd. Toch is het verstandig om je accountveiligheid te beoordelen, vooral als je hetzelfde wachtwoord elders gebruikt.

• Gebruik voor ieder account een sterk, uniek wachtwoord. Als je hetzelfde wachtwoord ook voor andere diensten gebruikt, vervang het dan op die andere diensten.
• Wijzig je AH-wachtwoord via een rechtstreeks bezochte officiële website of app zodra de dienst veilig bereikbaar is, niet via een onverwachte link in een bericht.
• Schakel waar beschikbaar extra inlogbeveiliging in. Ga er niet van uit dat een specifieke functie bij Mijn AH bestaat zonder dit in de actuele instellingen te controleren.
• Controleer betaaloverzichten op daadwerkelijk onbekende afschrijvingen. Een storing in een spaarprogramma betekent niet automatisch dat er betaalfraude is.

Als Albert Heijn later bevestigt dat inloggegevens zijn betrokken, volg dan ook de specifieke instructies in die officiële melding. De advies van de Autoriteit Persoonsgegevens voor mogelijke slachtoffers adviseert mensen die door een datalek zijn geraakt onder meer om mogelijk gelekte wachtwoorden te wijzigen, hergebruikte wachtwoorden te vervangen en alert te zijn op phishing.

Hoe herken ik nepberichten die inspelen op de storing?

Een bekend veiligheidsrisico tijdens veelbesproken storingen is dat oplichters proberen mee te liften op de onzekerheid. Dat is een algemene waarschuwing, geen vaststelling dat er in deze zaak al een specifieke phishingcampagne is aangetoond. Wees extra kritisch bij berichten die zogenaamd namens Albert Heijn een compensatie, herstel van Koopzegels of bevestiging van een online bestelling beloven.

Een geloofwaardig ogende e-mail kan een echte bedrijfsnaam, een logo en zelfs je naam bevatten. De Autoriteit Persoonsgegevens benadrukt dat zulke kenmerken geen bewijs van echtheid zijn. Vooral een verzoek om direct op een link te klikken, een wachtwoord of pincode in te voeren of een betaling te doen verdient controle.

Open bij twijfel zelf het bekende webadres of raadpleeg het officiële nieuwsoverzicht. Deel geen codes uit sms-berichten, screenshots van accountbeveiliging of volledige kaartgegevens. Krijg je telefonisch een dwingend verzoek, beëindig het gesprek en zoek later zelf het officiële contactkanaal op.

Wat moet ik doen als ik geld of gegevens heb verloren?

Maak onderscheid tussen een gemiste winkelkorting, een niet-bezorgde bestelling en daadwerkelijke fraude. Voor een gemiste korting bewaar je de kassabon en wacht je op de door Albert Heijn aangekondigde afhandeling. Voor een niet-bezorgde bestelling bewaar je ook het ordernummer en betalingsbewijs. Een terugbetaling of leverdatum moet nog per situatie worden bevestigd.

Heb je op een verdachte link geklikt en je wachtwoord ingevuld, verander dan onmiddellijk dat wachtwoord op de echte dienst zodra dat kan en wijzig het ook op andere plekken waar het hergebruikt werd. Bij een onbekende bankafschrijving neem je direct contact op met je bank via je gebruikelijke bankapp of het nummer op je bankpas. De winkelstoring is geen reden om een onbekende beller toegang tot je bankrekening te geven.

Ontvang je later een officieel bericht dat jouw persoonsgegevens betrokken zijn, lees dan welke gegevens het betreft, wanneer dat is gebeurd en welke gerichte maatregelen nodig zijn. Dit sluit aan op de vragen en adviezen van de advies van de Autoriteit Persoonsgegevens voor mogelijke slachtoffers.

Wat is voor klanten nu het belangrijkste?

Waar vind je betrouwbare updates?

De primaire bron voor dit incident is de officiële verklaring van Albert Heijn, met een als zodanig vermelde laatste update van 12 oktober 2026 om 07.00 uur. Voor de andere betrokken winkelketens is er ook de verklaring van Gall & Gall met een laatste update van 12 oktober om 11.30 uur. Omdat het onderzoek nog loopt, kan de situatie ná die tijd veranderd zijn; deze tekst bevestigt geen later herstel.

Een nuttige laatste controle bestaat uit drie vragen: is het bericht van een rechtstreeks gecontroleerd officieel kanaal, staat er een concrete publicatiedatum bij, en wordt een bevestigd feit onderscheiden van een vermoeden? Wie die vragen stelt, de bon bewaart en geen gegevens deelt via onverwachte links, kan tijdens de onzekerheid verstandige beslissingen nemen zonder onnodig in paniek te raken.